לא מעט אפליקציות ואתרים מאפשרים רישום באמצעות גוגל ופייסבוק.

לחילופין גיבוי מידע הנוגע לצד שלישי לחשבונות ענן שונים.

כמה זה בטוח, האם ואיך אפשר להיות בטוחים פרטי החשבון (שם משתמש וסיסמה) אינם חשופים לגורם הנוסף?

 

השאלה רלוונטית גם לאתרים וגם לאפליקציות סלולריות.

לדוגמא:

אפליקציית הסלולר Call recorder מאפשרת גיבוי הקלטות השיחות ל google drive. בשביל זה יש כמובן צורך לספק לאפליקציה את פרטי החשבון. איך ניתן לדעת שפרטי החשבון לא גלויים לאפליקציה?

זוהי כמובן דוגמא פרטנית, אבל השאלה כללית הרבה יותר.

 

יש לך רקע בתכנות/סיסטם/אבטחת מידע?

כן. לא באבטחת מידע.

אז בטח כבר יצא לך לקרוא איך Oauth2 עובד. חוץ מיכולת federation אין פה שום דבר נוסף בניגוד ליישומים שמתחברים לשירותים שמבקשים הרשאות מרשתות חבריות וכד'.

גם לפורום הזה אתה יכול להירשם עם חשבון בפייסבוק. אתה חושב שזה נותן גישה למנהלי הפורום להוציא עליך מידע שהוא משהו חוץ משם פרטי/משפחה/תמונה/תמונת רקע/כתובת דוא"ל?

נערך 2016 בנובמבר 238 שנים על-ידי multicore
typo

ציטוט של multicore

אז בטח כבר יצא לך לקורא איך Oauth2 עובד. חוץ מוכולת federation אין פה שום דבר נוסף בניגוד ליישומים שמתחברים לשירותים שמבקשים הרשאות מרשתות חבריות וכד'.

גם לפורום הזה אתה יכול להירשם עם חשבון בפייסבוק. אתה חושב שזה נותן גישה למנהלי הפורום להוציא עליך מידע שהוא משהו חוץ משם פרטי/משפחה/תמונה/תמונת רקע/כתובת דוא"ל?

 

לא יצא לי...ולכן שאלתי.

אני גם לא מכוון להיבטים הטכניים העמוקים של הפרוטוקול, אלא רק להיבט העקרוני. יכול להיות שהתשובה שלך עונה על זה ואני לא מבין.

מבלי כרגע לחפור ולקרוא לעומק איך עובד הפרוטוקול, אני אנסח את השאלה קצת אחרת.

 

האם משתמש יכול להיות בטוח שפרטי החשבון, המסופקים באתר כלשהוא או באפליקציה, אינם חשופים לאותו אתר או אפליקציה. 

בסופו של דבר מספקים לשירות החיצוני את הנתונים, מה מונע ממנו את היכולת לקרוא אותם?

הנתונים שניתן לבקש אינם רגישים (כמו במקרה של הפורום הזה).